OpenAI, şirketlerin güvenlik açıklarını bulmasına ve yazılımlarını korumasına yardım etmek için GPT-6 Cyber'ı sundu

OpenAI, 5 Kasım 2026'da GPT-6 Cyber'ı sundu. Bu, yetkili güvenlik işleri için özel olarak eğitilmiş bir GPT-6 Astra sürümü: açık bulmak, bunları kanıtlamak için istismar kodu yazmak ve web sitelerine sızma testi yapmak. Ancak her şirkete açık değil: erişim, OpenAI'ın kimlik doğrulaması ve tek oturum açma, çok faktörlü kimlik doğrulama gibi güvenlik şartlarından sonra onayladığı kuruluşlara yönelik Daybreak Red programıyla sınırlı. Suudi şirketlerinin çoğu için şu an önemli olan onu kullanmak değil, ortaya koydukları: OpenAI'ın testlerinde model hedeflerin yüzde 48,45'ini istismar etti, daha güçlü korumalar açıldığında bu oran yüzde 36,94'e düştü ve tamamen sıkılaştırılmış hiçbir hedefte başarılı olamadı. Güncellemek ve sıkılaştırmak hâlâ en güçlü savunma.

GPT-6 Cyber nedir?

OpenAI'ın yayımladığı sistem kartına göre model; çökmeleri yeniden üretmek, çalışan istismar kodları yazmak ve kodda açık aramak gibi görevlerde pekiştirmeli öğrenmeyle eğitildi. Eğitim sinyalleri onu kullanıcının yetki verdiği kapsamda tutuyor ve kimsenin istemediği işleri yapmasını engelliyor. Savunma amaçlı kullanım değerlendirmesinde genel güvenlik desteği ve açık düzeltme görevlerinin yüzde 100'ünü, istismar geliştirme görevlerinin yüzde 96'sını ve kırmızı takım görevlerinin yüzde 97'sini tamamladı.

OpenAI, hazırlık çerçevesinde modeli siber güvenlikte "kritik" olarak sınıflandırıyor; bu, GPT-6 Astra için verdiği sınıflandırmayla aynı ve bu alandaki en yüksek risk düzeyi.

Test sonuçları ne diyor?

Irregular'ın gerçek yazılım ve donanım üzerinde yaptığı dış değerlendirmede model 288 görevden 90'ını çözdü ve başarılı saldırıları arasında tarayıcılarda, cep telefonlarında ve bulut veritabanlarında sıfırıncı gün açıkları vardı. Ancak Irregular, tamamen sıkılaştırılmış hedeflere karşı hiçbir başarılı saldırı gözlemlemedi ve model en zor 15 görevin hiçbirini çözemedi. OpenAI de yeni duyurulan açıkları güvenilir biçimde istismar etmenin model için "hâlâ zor" olduğunu kabul ediyor: güçlü bir araç, ama durdurulamaz bir saldırgan değil; farkı güncelleme hızınız ve sıkılaştırmanızın kalitesi yaratıyor.

Kimler kullanabilir?

Sistem kartına göre GPT-6 Cyber yalnızca onaylı Daybreak Red kullanıcılarına ve kuruluşlarına açık. OpenAI başvuruları kuruluşun siber güvenlik kullanım senaryolarına, güvenlik uygulamalarına ve hukuki beyanlarına göre inceliyor ve kuruluşlardan şunları istiyor:

• Tek oturum açma (SSO) ve çok faktörlü kimlik doğrulama.
• Yönetilen cihazlar ve her çalışana yalnızca ihtiyacı kadar yetki.
• Kimlik bilgilerinin korunması ve düzenli yenilenmesi, çalışanların kullanımının izlenmesi ve şüpheli her kötüye kullanımın bildirilmesi.
• API erişiminin yalnızca şirketin onayladığı IP adresleriyle sınırlanması.

OpenAI ayrıca endüstriyel kontrol sistemlerine, temel hizmetlere ve seçim sistemlerine yönelik yüksek riskli yardımı engelleyen kontroller ekledi ve bunları endüstriyel sistem güvenliğinde uzman Dragos ile test etti. Hiç başvurmasanız bile bu şartlar, kendi hesaplarınızın güvenliğini ölçmek için iyi bir kontrol listesi.

Bireyler ise yalnızca OpenAI'ın daveti ile erişebiliyor; kimlik ve canlılık doğrulaması, mesleki uygunluğun kanıtlanması ve hukuki beyan gerekiyor, hesabın da en az bir fiziksel FIDO2 güvenlik anahtarıyla korunması şart. Mesaj açık: OpenAI bile bu kadar güçlü bir aracı korumak için tek başına bir parolaya güvenmiyor.

Bu, şirketiniz için ne anlama geliyor?

• Duyurulan açıklar daha hızlı istismar edilecek. Yeni tarayıcı açıklarının yüzde 42'si için çalışan istismar kodu yazan bir model, duyuru ile istismar arasındaki sürenin kısaldığı anlamına geliyor; bunu PHP2Shell açığında ve yapay zekânın bulduğu FortiGate açıklarında gördük.
• Sıkılaştırma işe yarıyor. Daha güçlü korumalar modelin başarısını yüzde 48,45'ten yüzde 36,94'e düşürdü ve tamamen sıkılaştırılmış hedefler Irregular'ın değerlendirmesinde aşılamadı. İşinizi kolaylaştırmak için işletim sistemi ve tarayıcı korumalarını kapatmayın.
• Savunanlar da kazanıyor. Bir yazılım şirketiniz ya da uygulamanız varsa, sızma testi sağlayıcınıza hangi yapay zekâ araçlarını kullandığını sorun ve izin verilen test kapsamını yazılı olarak belirleyin.

Şirketinizin yazılımını hemen korumak için 5 adım

1. Otomatik güncellemeleri açın; çalışanların cihazlarındaki tarayıcılar ve işletim sistemleri için. Tarayıcı, modelin en çok test edildiği hedeflerden biri.
2. İnternete açık olan her şeyi bilin; sunuculardan güvenlik duvarlarına ve yönetim panellerine kadar. Bir düzeltme yayımlandığında önce bunları güncelleyin.
3. OpenAI'ın istediklerini kendi hesaplarınıza uygulayın: tek oturum açma, çok faktörlü kimlik doğrulama, en az yetki ve yönetilen cihazlar.
4. Yazılımınızı saldırgandan önce test edin. Geliştiricinizden ya da güvenlik sağlayıcınızdan, yazılı bir kapsam ve açık bir onayla kodu açıklara karşı incelemesini isteyin.
5. Bir müdahale planı hazırlayın; kullandığınız bir sistemde kritik bir açık duyurulursa bir hizmeti durdurmaya ya da bir sunucuyu ayırmaya kimin karar vereceğini belirleyin.

Büyük resim için şirketinizi yapay zekâ risklerinden nasıl korursunuz yazısını okuyun. Origami olarak şirketlerin yazılımlarını ve sunucularını inceliyor, açıkları başkası bulmadan kapatıyoruz. Sistemlerinizin incelenmesini isterseniz bizimle iletişime geçin.

Kaynaklar

• OpenAI: GPT-6 Cyber sistem kartı, 5 Kasım 2026